控制 Kibana 的存取 - AWS IoT Core
通道存取先決條件通道存取政策

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

控制 Kibana 的存取

安全通道提供服務特有的動作、資源和條件內容金鑰，可用於 IAM 許可政策。

通道存取先決條件

通道存取政策

您必須使用以下政策授予許可，才能使用安全通道 API。如需 AWS IoT 安全性的詳細資訊，請參閱 的身分和存取管理 AWS IoT。

iot:OpenTunnel 政策動作可授與委託人呼叫 OpenTunnel 的許可。

在 IAM 政策陳述式中的 Resource 元素：

  • 指定萬用字元通道 ARN：

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • 指定一個物件 ARN 來管理特定 IoT 物件的 OpenTunnel 許可：

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

例如，以下政策陳述式允許您開啟一個通道，前往名為 TestDevice 的 IoT 物件。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:OpenTunnel 政策動作支援下列條件金鑰：

  • iot:ThingGroupArn

  • iot:TunnelDestinationService

  • aws:RequestTag/tag-key

  • aws:SecureTransport

  • aws:TagKeys

下列政策陳述式可讓您對事物開啟通道，前提是該事物屬於名稱開頭為 TestGroup 的事物群組，並且通道上配置的目的地服務為 SSH。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ]
        }
    }
}

您也可以使用資源標籤來控制開啟通道的許可。例如，如果標籤索引鍵 Owner 的值為 Admin 且未指定其他標籤，則下列政策陳述式允許開啟通道。如需使用標籤的詳細資訊，請參閱 標記您的 AWS IoT 資源。

{
    "Effect": "Allow",
    "Action": "iot:OpenTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:RequestTag/Owner": "Admin"
        },
        "ForAllValues:StringEquals": {
            "aws:TagKeys": "Owner"
        }
    }
}

iot:RotateTunnelAccessToken 政策動作可授予委託人呼叫 RotateTunnelAccessToken 的許可。

在 IAM 政策陳述式中的 Resource 元素：

  • 指定完全的合格通道 ARN：

    arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

    您也可以使用萬用字元通道 ARN：

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • 指定一個物件 ARN 來管理特定 IoT 物件的 RotateTunnelAccessToken 許可：

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

例如，以下政策陳述式允許您輪換通道的來源存取字符，或用於名為 TestDevice 的 IoT 物件之用戶端目的地存取字符。

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:RotateTunnelAccessToken 政策動作支援下列條件金鑰：

  • iot:ThingGroupArn

  • iot:TunnelDestinationService

  • iot:ClientMode

  • aws:SecureTransport

下列政策陳述式可讓您將目的地存取字符輪換至物件，前提是該事物屬於名稱開頭為 TestGroup 的物件群組，並且通道上配置的目的地服務為 SSH，用戶端狀態為 DESTINATION。

{
    "Effect": "Allow",
    "Action": "iot:RotateTunnelAccessToken",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "ForAnyValue:StringLike": {
            "iot:ThingGroupArn": [
                "arn:aws:iot:aws-region:aws-account-id:thinggroup/TestGroup*"
            ]
        },
        "ForAllValues:StringEquals": {
            "iot:TunnelDestinationService": [
                "SSH"
            ],
            "iot:ClientMode": "DESTINATION"
        }
    }
}

iot:DescribeTunnel 政策動作可授與委託人呼叫 DescribeTunnel 的許可。

在 IAM 政策陳述式的 Resource 元素中指定完全合格的通道 ARN：

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

您也可以使用萬用字元 ARN：

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:DescribeTunnel 政策動作支援下列條件金鑰：

  • aws:ResourceTag/tag-key

  • aws:SecureTransport

如果使用值為 Admin 的金鑰 Owner 標記所請求的通道，下列政策陳述式可讓您呼叫 DescribeTunnel。

{
    "Effect": "Allow",
    "Action": "iot:DescribeTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:ResourceTag/Owner": "Admin"
        }
    }
}

iot:ListTunnels 政策動作可授與委託人呼叫 ListTunnels 的許可。

在 IAM 政策陳述式中的 Resource 元素：

  • 指定萬用字元通道 ARN：

    arn:aws:iot:aws-region:aws-account-id:tunnel/*

  • 指定一個物件 ARN 來管理所選 IoT 物件的 ListTunnels 許可：

    arn:aws:iot:aws-region:aws-account-id:thing/thing-name

iot:ListTunnels 政策動作支援條件金鑰 aws:SecureTransport。

以下政策陳述式允許您列出名為 TestDevice 之物件的通道。

{
    "Effect": "Allow",
    "Action": "iot:ListTunnels",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*",
        "arn:aws:iot:aws-region:aws-account-id:thing/TestDevice"
    ]
}

iot:ListTagsForResource 政策動作可授與委託人呼叫 ListTagsForResource 的許可。

在 IAM 政策陳述式的 Resource 元素中指定完全合格的通道 ARN：

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

您也可以使用萬用字元通道 ARN：

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:ListTagsForResource 政策動作支援條件金鑰 aws:SecureTransport。

iot:CloseTunnel 政策動作可授與委託人呼叫 CloseTunnel 的許可。

在 IAM 政策陳述式的 Resource 元素中指定完全合格的通道 ARN：

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

您也可以使用萬用字元通道 ARN：

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:CloseTunnel 政策動作支援下列條件金鑰：

  • iot:Delete

  • aws:ResourceTag/tag-key

  • aws:SecureTransport

如果請求的 Delete 參數為 false，並使用值為 QATeam 的金鑰 Owner 標記所請求的通道，下列政策陳述式可讓您呼叫 CloseTunnel。

{
    "Effect": "Allow",
    "Action": "iot:CloseTunnel",
    "Resource": [
        "arn:aws:iot:aws-region:aws-account-id:tunnel/*"
    ],
    "Condition": {
        "Bool": {
            "iot:Delete": "false"
        },
        "StringEquals": {
            "aws:ResourceTag/Owner": "QATeam"
        }
    }
}

iot:TagResource 政策動作可授與委託人呼叫 TagResource 的許可。

在 IAM 政策陳述式的 Resource 元素中指定完全合格的通道 ARN：

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

您也可以使用萬用字元通道 ARN：

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:TagResource 政策動作支援條件金鑰 aws:SecureTransport。

iot:UntagResource 政策動作可授與委託人呼叫 UntagResource 的許可。

在 IAM 政策陳述式的 Resource 元素中指定完全合格的通道 ARN：

arn:aws:iot:aws-region: aws-account-id:tunnel/tunnel-id

您也可以使用萬用字元通道 ARN：

arn:aws:iot:aws-region:aws-account-id:tunnel/*

iot:UntagResource 政策動作支援條件金鑰 aws:SecureTransport。